පැරණි P12 OpenSSL 3 හි අසාර්ථක වේ: වැරදි මුරපදයක් ද පැරණි සයිෆරයක් ද?
OpenSSL 3 විවෘත කිරීමට ප්‍රතික්ෂේප කරන පැරණි RC2 බන්ඩලයකින් වැරදි ලෙස ටයිප් කළ මුරපදය වෙන්කර, යතුරු ආරක්ෂණය ඉවත් නොකර ගොනුව නැවත සීල් කරන්න.
ආයාත සංවාදය ඔබේ මුරපදය ලබාගෙන මොහොතක් කැරකී පසුව බන්ඩලය කියවිය නොහැකි බව පවසයි. ඔබ මුරපදය වැරදි ලෙස ටයිප් කළාද නැතහොත් ගොනුව සේවාදායකයා තවදුරටත් සපයන්නේ නැති සයිෆරයකින් සීල් කළාද යන්න එම පණිවිඩයෙන් කිසිවක් නොකියයි. මේවා වෙනස් අසාර්ථකතා සහ වෙනස් නිවැරදි කිරීම් වේ, වැරදි තේරීමක් සේවාදායකයා පහත හෙළීමට තුඩු දෙන අතර එය තීරණය පමණක් කල් දමයි. සේවාදායකයා කුමන අදියරේ නතර වේද යන්න නැරඹීම ඒවා මිනිත්තුවකින් පමණ වෙන්කරයි.
සංවාදය සහ සහතික ලැයිස්තුව අතර සිදුවන දේ
.p12 ගොනුවක් යනු බහාලුමක් මිස සහතිකයක් නොවේ. ඇතුළත එකක් හෝ වැඩි ගණනක් සහතික බෑග් සහ ඔබේ මුරපදයෙන් ලබාගත් යතුරකින් සංකේතනය කළ පෞද්ගලික යතුරු බෑගයක්, එසේම සම්පූර්ණ ගොනුව මත MAC නම් අඛණ්ඩතා පරීක්ෂාවක් ඇත. එය විවෘත කිරීම යනු එම MAC පරීක්ෂා කිරීම, යතුරු බෑගය විසංකේතනය කිරීම සහ සහතිකය පිටතට එන යතුර සමඟ ගැළපීමයි.
මුරපද ගැටලුව MAC අදියරේදී එයි. සයිෆර් ගැටලුව පසුව එයි, යතුරු බෑගය විවෘත කළ යුතු විට සහ එය කරන ගොඩනැගීමට ගොනුවේ නම් කර ඇති ඇල්ගොරිතමයේ ක්‍රියාත්මක කිරීමක් නොමැති විට.
දෙවන අවස්ථාව අද පද්ධතිවල සුලභ වන්නේ OpenSSL 3 පැරණි ඇල්ගොරිතම කණ්ඩායමක් විකල්ප legacy provider එකකට ගෙන ගිය නිසාය. OpenSSL 1.x මගින් අපනයනය කළ බන්ඩල සාමාන්‍යයෙන් සහතික 40-බිට් RC2 වලින් සහ පෞද්ගලික යතුර යතුරු තුනක Triple DES වලින් සීල් කළහ. පෙරනිමි OpenSSL 3 ගොඩනැගීම තවමත් ඔබේ නිවැරදි මුරපදයෙන් MAC පරීක්ෂා කර පසුව බෑගයේ අසාර්ථක වේ, එබැවින් මුරපදය කිසිදා වැරදි නොවීය, නැවත ටයිප් කිරීම කිසිවක් වෙනස් නොකරයි.
යතුරක් ලියා නොගෙන බහාලුම කියවන්න
ඔබේ යන්ත්‍රයේ ඇති OpenSSL ගොඩනැගීමට ගොනුව විග්‍රහ කර එය අත්හැර දමන තැන කියවන්න කියන්න. ප්‍රතිදාන ගොනුවක් නොමැතිව පරීක්ෂාව යතුර තැටියේ සංකේතනය කර තබයි, හවුල් සත්කාරකයක මෙම පියවර ආරක්ෂිත වීමට ඇති එකම හේතුව එයයි.
openssl pkcs12 -in vpn-identity.p12 -info -nooutනිවැරදි මුරපදය සහිත පැරණි බන්ඩලයක මෙය බෑගයේ ගුණාංග මුද්‍රණය කර පසුව digital envelope routines::unsupported සමඟ නතර වේ. වැරදි මුරපදයක් සමඟ කිසිදු බෑගයක් කියවීමට පෙර Mac verify error: invalid password? ලැබේ. පණිවිඩ දෙක ප්‍රතිවිරුද්ධ දිශා පෙන්වයි, සේවාදායකයා සඟවා ගත් තොරතුරු එයම ය.
අසාර්ථකතාව අනුග්‍රහය නොලබන ඇල්ගොරිතමයේ නම්, එම විධානයම -legacy එකතු කර වෙන කිසිවක් නොවෙනස්ව නැවත ධාවනය කරන්න. එම ධජය legacy provider එක එම එක් ක්‍රියාවලියට පමණක් පූරණය කරයි. එය VPN සේවාදායකයාට පැරණි බන්ඩල විග්‍රහ කිරීමට බල නොකරයි, පද්ධති-ව්‍යාප්ත ක්‍රිප්ටෝ ප්‍රතිපත්තිය ස්පර්ශ නොකරයි, ගොනුව තවමත් ප්‍රතිස්ථාපනය කළ යුතු බැවින් එය අලුත්වැඩියාවක් නොව මිනුමකි.
කුමන දෝෂය කුමන අදියරද
කෙටි වගුවක් ප්‍රතිඵල තුන වෙන් කර තබයි, සංවාදය පෙනුණු තැනට වඩා වචන සැකැස්ම වැදගත් ය.
| Text you see | Stage | What it tells you |
|---|---|---|
Mac verify error: invalid password? | Integrity check | Passphrase or cached credential, not the cipher |
digital envelope routines::unsupported | Bag decrypt | Algorithm missing from the default provider |
not enough data / header too long | Container format | Wrong encoding, edited file, or truncated download |
not enough data හෝ header too long වැනි පෙළ පළමු කණ්ඩායම් දෙකෙන් කිසිවකට අයත් නොවේ. එය ආකෘති ගැටලුවකි: .pem ලෙස නම වෙනස් කළ DER ගොනුවක්, පේළි අග නැවත ලියූ සංස්කාරකයකින් විනාශ වූ පිටපතක්, හෝ අසම්පූර්ණ බාගැනීමක්. සයිෆර දෙස බැලීමට පෙර නිකුත් කරන්නා එවූ චෙක්සම් සමඟ සසඳන්න.
Mac verify error මුරපදය ගැන පමණක් සාක්ෂියක් ලෙස සලකන්න. ඔබ ටයිප් කළ දෙයින් ගණනය කළ MAC ගබඩා කළ අගයට නොගැළපෙන බව එය අදහස් කරයි, එය ටයිප් දෝෂයකින්, පෙර ආයාතයකින් කෑෂ් කළ මුරපදයකින් හෝ වෙනත් මුරපදයක් යටතේ නැවත අපනයනය කළ ගොනුවකින් සිදුවේ. ඇතුළත ඇති ඇල්ගොරිතම පැරණිද යන්න ගැන එය කිසිවක් නොකියයි.
සේවාදායකයාට සැබවින්ම විවෘත කළ හැකි බන්ඩලයක් සාදන්න
legacy විග්‍රාහකය ගොනුව සුවපත් බව තහවුරු කළ පසු, ස්ථිර විසඳුම ඉලක්ක සේවාදායකයා අනුග්‍රහය දෙන ඇල්ගොරිතම සහිත ප්‍රතිස්ථාපනයකි: යතුරු සහ සහතික බෑග් සඳහා AES-256-CBC, ව්‍යුත්පන්නය සඳහා SHA-256 සහිත PBKDF2, සහ MAC සඳහා SHA-256. ඔබේ PKI පරිපාලකයාට එය එම යතුරු ද්‍රව්‍යයෙන් අපනයනය කළ හැක, ඇතුළත ඇති සහතිකය ඔබේ සේවාදායක දැනටමත් විශ්වාස කරන සහතිකයම පවතී.
ස්ථානීයව පරිවර්තනය කළ යුතු නම්, බෑග් පළමුව ඉවත නොදමා නැවත සීල් කරන්න pkcs12 මෙවලමට කියන්න. මුරපද දෙකම ගොනුවකින් කියවා ඔබේ ෂෙල් ඉතිහාසයෙන් බැහැර තබන්න.
openssl pkcs12 -in vpn-identity.p12 -out vpn-identity-aes.p12 \
-keypbe AES-256-CBC -certpbe AES-256-CBC -macalg sha256 \
-passin file:old.pass -passout file:new.passසාර්ථක පරිවර්තනයක් කල් ඉකුත්වීම, යතුරු භාවිතය, පෞද්ගලික යතුරු ගැළපීම හෝ සේවාදායකයා නිකුත් කරන්නාගේ දාමය විශ්වාස කරනවාද යන්න ගැන කිසිවක් නොකියයි. නැවත ඇසුරුම් කිරීම ප්‍රවාහන වෙනසක් මිස අලුත් කිරීමක් නොවේ, ඒ සෑම එකකටම තමන්ගේ පරීක්ෂාව අවශ්‍ය ය.
සේවාදායකයා පසුව ගොනුව පිළිගත් නිසා පමණක් ආරක්ෂාවක් නොමැති අතරමැදි යතුරක් ලියන හෝ හිස් ප්‍රතිදාන මුරපදයක් තබන ඕනෑම වට්ටෝරුවක් මග හරින්න. ආරක්ෂාව ඉවත් කළ කියවිය හැකි බන්ඩලයක් ඔබ ආරම්භ කළ ආයාත අසාර්ථකතාවට වඩා නරක ප්‍රතිඵලයකි.
සේවාදායකයා ඔබ සෑදූ ගොනුව ආයාත කළ බව තහවුරු කරන්න
ටර්මිනලයේ පිරිසිදු විග්‍රහයක් බහාලුම වලංගු බව ඔප්පු කරයි. සේවාදායකයා එය තෝරාගත් බව ඔප්පු නොකරයි, මක්නිසාද ඉතිරි පැතිකඩක් පැරණි ගොනුවට යොමු වීම දිගටම කළ හැකි අතර, සමහර සේවාදායකයන් ආයාත කළ අනන්‍යතාව ඔබ නොතෝරාගත් නමකින් කෑෂ් කරයි.
ඔබ ආයාත කිරීමට යන අනන්‍යතාව මුද්‍රණය කර සේවාදායකයා එහි සහතික දර්ශනයේ පෙන්වන දෙය සමඟ සසඳන්න.
openssl pkcs12 -in vpn-identity-aes.p12 -clcerts -nokeys -passin file:new.pass \
| openssl x509 -noout -subject -dates -fingerprint -sha256පළමුව පැරණි පැතිකඩ සටහන ඉවත් කර පසුව ආයාත කරන්න. සේවාදායකයා පූරණය කළ විෂය හෝ ඇඟිලි සලකුණ ලොග් කරන්නේ නම්, ඉහත පේළිය සමඟ ගැළපන්න; එය මිත්‍රශීලී නමක් පමණක් පෙන්වන්නේ නම්, ඒ වෙනුවට කල් ඉකුත්වන දිනය පරීක්ෂා කරන්න, මක්නිසාද එය එම නිකුත් කරන්නාගේ තවත් සහතිකයක් සමඟ පටලවා ගැනීම දුෂ්කර ය.
PKCS12 යොමුව මෙහි භාවිත කළ provider, මුරපදය සහ ප්‍රතිදාන විකල්ප ලැයිස්තුගත කරයි. legacy provider සේවාදායක පරිසරයෙන් බැහැර තබන එකම කරුණයි: එය සමඟ මනින්න, එය නොමැතිව බෙදාහරින්න, පෞද්ගලික යතුර තැටියේ ආරක්ෂිතව තබන්න.